Insight
フィッシング訓練の難易度はどう決める？目的と業務に合わせる判断表
フィッシング訓練の難易度を、練習する行動、受信者の仕事、気づける手掛かり、業務への影響から決める方法を解説。クリック率を比較するときの難易度と測定条件の違いも整理します。
フィッシング訓練のクリック率が前回より高くても、それだけで従業員の対応力が下がったとは判断できません。メールが見分けにくくなったのか、対象者が変わったのか、計測の仕組みが違うのかを分けて確認する必要があります。
難易度を決める出発点は、その回で練習してほしい行動です。不審な点に気づく、正しい窓口へ報告する、操作してしまった後にすぐ相談する。どれを確かめたいかで、適した題材と結果の見方が変わります。
この記事では、題材を選ぶ担当者が、目的、受信者の業務、気づける手掛かり、問い合わせへの対応を整理する方法を紹介します。
同じメールでも、受信者の仕事によって難しさが変わる
普段から請求書を受け取る人と、請求に関わらない人では、同じ件名のメールに感じる自然さが違います。文章が整っているかだけでなく、普段の仕事にどれだけ合っているかも、判断の難しさに関わります。
NISTのPhish Scaleは、メール内の見分ける手掛かりと、受信者の仕事や状況との一致を組み合わせて、人がフィッシングと気づく難しさを評価する方法です。対象者の業務を知る人が評価に関わることも重視しています。NIST Phish Scale User Guide
これは従業員の能力を一つの点数で順位付けするためのものではありません。訓練メールの難しさを把握し、クリック率や報告率を解釈するための材料になります。
題材を選ぶ際は、対象部署の担当者と「このような連絡は普段届くか」「通常はどう確認するか」を確かめると、難易度の判断が具体的になります。
最初に、その回で練習する行動を決める
ヤグラの導入支援では、初回を報告ボタンの使い方に慣れる回とした計画がありました。別の支援では、難易度を高めた回と、報告を促すために難易度を下げた回を組み合わせる計画がありました。
どちらも、常に難しい題材を配ることを目的にしていません。確認したい行動に合わせて、一回ごとの役割を分けています。
報告の手順を学ぶ回
報告先やボタンの使い方を初めて学ぶ回なら、見破りにくさだけを追求する必要はありません。どこに報告するか、報告すると何が届くか、操作してしまった場合も相談できるかを、実際に経験できるようにします。
この回で報告ができたことと、巧妙なメールを見分けられたことは、別の成果です。目的を明記しておけば、簡単な題材を使う理由も説明できます。
判断に迷うメールへの対応を確かめる回
報告手順が定着している場合は、普段の業務に近い連絡を受けたとき、何を確認して判断するかを確かめる設計も考えられます。
その際も、受信者が学べる手掛かりと、訓練後の説明を用意します。「引っかかった」という結果だけで終わらせず、どの点を確認し、分からないときに誰へ相談すればよいかを伝えます。初回か何回目かだけで難易度を固定せず、対象者の経験と訓練の目的から選びましょう。
難易度と、業務への影響を別々に確認する
業務に近い題材は判断を難しくすることがありますが、現実の業務を混乱させる必要はありません。訓練メールを確認しようとして、実在の取引先や公的機関へ問い合わせが入る可能性もあります。
IPAは、実在または似た組織名を使う訓練によって、第三者への問い合わせや風評上の影響が生じ得る点を説明しています。確認する行動自体を責めるのではなく、訓練を設計する側が、確認先や影響を考えることが必要です。IPAの解説
次の表は、ヤグラが提案する題材の確認表です。NISTの採点表を置き換えるものではなく、訓練の目的と実施条件を整理するために使います。
今回の目的 | 題材を選ぶ視点 | 調整が必要な状態 | 配信後に確かめること |
|---|---|---|---|
報告手順に慣れる | 報告先と使い方を学べるか | 報告を受ける窓口が不明 | 正しい窓口へ報告し、受領されたか |
不審な点に気づく | 確認できる手掛かりを解説できるか | 特殊な知識がないと判断できず、日常の行動につながらない | 何を確認すべきか理解できたか |
業務に似た連絡を確認する | 対象者の普段の仕事に近いか | 実際の支払いや第三者への問い合わせを誘発する | 正規の社内確認先へ相談できたか |
操作後に早く相談する | 操作したことも報告しやすいか | 失敗を公表・叱責する運用になっている | 操作内容を含めて相談できたか |
窓口の対応を確かめる | 対象人数や時刻を担当者と調整したか | 通常の緊急対応を妨げる | 受付から対応・記録まで進めたか |
例えば、架空の設計例として、報告手順をまだ知らない人には窓口を使う練習を、手順を知っている人には業務と似た連絡の確認を用意する方法があります。これは年齢や職位で区別するという意味ではありません。何を経験し、何を学ぶ必要があるかで考えます。
部署の繁忙期や、実際の重要な案内と題材が重なる時期も確認してください。結果を得るために業務への影響を大きくするより、目的を保ちながら対象や日時を調整する方が適切な場合があります。
結果を比べるときは、難易度と測定条件を分ける
クリック率などを比較する際は、二つの確認が必要です。
一つは、同じ行動を同じ方法で測れているかです。開封、リンクの操作、情報の入力、報告は別の行動です。メール形式や画像の取得設定、機械によるアクセスの扱いなど、計測条件が変わると、記録される数値の意味も変わります。
例えばMicrosoftは、同社の訓練メールをセキュリティ製品などが検査した結果、利用者が操作していなくてもクリックとして記録される場合を説明しています。これは題材の難しさとは別の確認事項です。数値の動きが不自然な場合は、利用者を評価する前に、記録と計測条件を確認します。Microsoftの公式FAQ
ヤグラの導入相談でも、開封を測りにくい環境では別の指標を軸にする判断や、添付ファイルの開封とその後の操作を分けて知りたいという要望がありました。記録がないことを、その行動をしなかった証拠と決めつけないことが大切です。
もう一つは、測定条件を揃えたうえで、題材や対象者がどう変わったかです。業務との関連が強い題材へ変えた場合と、明らかに不審な手掛かりを増やした場合では、同じクリック率でも意味が異なります。
次のように記録を分けておくと、説明しやすくなります。
記録するもの | 確認する内容 |
|---|---|
行動の定義 | 開封なのか、リンク操作なのか、情報入力なのか |
分母と対象者 | 配信対象、到達状況、対象部署、訓練経験 |
計測方法 | メール形式、取得できない状態、機械によるアクセスの扱い |
題材の条件 | 業務との関連、気づける手掛かり、事前案内 |
結果の解釈 | 今回の目的に対し何が確認でき、何が未確認か |
難易度を下げてクリック率が下がっても、それだけで教育効果が高まったとは言えません。反対に、難しい題材にして数値が上がっても、能力が低下したとは限りません。条件が違う回は、同じ基準で単純に順位を付けず、今回確認できた行動を説明します。
訓練後の説明まで含めて、題材を選ぶ
配信時点ではよい題材に見えても、訓練後に何を説明するかが曖昧だと、次の行動につながりにくくなります。題材を決めるときに、解説も一緒に用意しましょう。
解説では、不審と判断する手掛かり、正規の連絡か確かめる方法、迷ったときの報告先を示します。単に文面の誤字を探すだけでなく、そのメールを受けた仕事の場面で、何を確認できたかを扱います。
ヤグラの支援では、開封していない人に送る案内の表現や、クリックの誤判定があった場合の教材送付を気にする声もありました。全員に同じ注意文を送る場合も、実際にしたか分からない行動を決めつけない書き方にします。
例えば「あなたは危険な操作をしました」と一律に通知するより、訓練の目的と確認ポイントを伝え、計測結果に疑問がある場合の問い合わせ先を示せます。受講案内も、罰として受け取られる表現ではなく、次に役立つ内容を明確にします。
配信前に、5項目を確認する
次の訓練では、題材の採否を決める前に、次を一枚にまとめてください。
今回、練習してほしい行動は何か
対象者の普段の仕事に、どの程度関係する題材か
受信者が確認できる手掛かりと、訓練後の説明は何か
問い合わせ先と、業務への影響を確認したか
何をどう測り、前回とどの条件が違うか
難易度は、成績を良く見せるためでも、失敗する人を増やすためでもなく、必要な行動を練習・確認するために調整するものです。結果を見て、次の回で何を学ぶかを決めるところまで、一つの訓練として設計しましょう。
実施全体の流れは標的型メール訓練の解説、訓練と教育の支援についてはヤグラ アウェアネスをご覧ください。
報告を受けた窓口の担当と完了条件は、不審メールの報告後の運用設計で具体的に整理しています。
参考資料
NIST Phish Scale User Guide（NIST TN 2276、2023年11月）／本文PDF
IPA「組織における標的型攻撃メール訓練は実施目的を明確に」（2017年7月31日）
Microsoft Learn「Attack simulation training deployment considerations and FAQ」
